Existe uma categoria de ataque que quebra a única regra de segurança que todo mundo aprendeu: “não clique em nada suspeito”. A campanha revelada agora contra servidores Zimbra é exatamente disso — o código malicioso roda no instante em que a mensagem é aberta, sem anexo para baixar, sem link para clicar e sem nada para a vítima autorizar. O malware foi batizado de ZimReaper (também identificado como Ulej) e explora a falha CVE-2025-66376, uma vulnerabilidade de Cross-Site Scripting no webmail da plataforma.
O mecanismo é elegante no pior sentido. Como o Zimbra falha ao tratar o conteúdo da mensagem, o script embutido no e-mail é executado pelo próprio navegador, já dentro da sessão autenticada da vítima. Daí em diante o ataque coleta os dados da conta, intercepta códigos de autenticação em dois fatores e — o detalhe mais grave — cria uma senha de aplicativo falsa, batizada de “ZimbraWeb”, para estabelecer acesso permanente à caixa postal via IMAP. É a jogada que garante persistência: mesmo que a senha principal seja trocada e o servidor seja corrigido, aquela credencial paralela continua funcionando até alguém notar e revogá-la manualmente.
A lista de alvos explica por que o caso rendeu um alerta conjunto de NSA, FBI, CISA e serviços de inteligência de vários países: órgãos de governo da Ucrânia, agências dos Estados Unidos, organizações de defesa, instalações nucleares, instituições científicas e empresas europeias. A operação, identificada pela Proofpoint, é atribuída ao grupo TA488 — também chamado de Laundry Bear e Void Blizzard —, descrito como espionagem patrocinada pelo Estado russo, operando sobre uma infraestrutura apelidada de “Flowerbed”.
O que mais incomoda nessa história é a linha do tempo. A campanha está ativa desde julho de 2025, a vulnerabilidade foi corrigida em novembro de 2025 e catalogada em janeiro de 2026 — mas o relatório técnico só chegou agora, em julho de 2026. Ou seja: por praticamente um ano houve um patch disponível e servidores continuaram sendo saqueados porque ninguém aplicou a atualização. Não é um problema de dia zero; é um problema de manutenção.
E o Zimbra é justamente o tipo de software em que esse buraco aparece com frequência. É a escolha clássica de quem quer e-mail corporativo autogerido sem depender de Google ou Microsoft — perfil comum em prefeituras, universidades, hospitais, cooperativas e empresas de médio porte no Brasil, muitas vezes com uma equipe pequena cuidando de tudo. Se você administra uma instalação dessas, o roteiro é curto: subir para a versão 10.1.13 ou superior, auditar as senhas de aplicativo cadastradas em cada conta e revogar qualquer credencial que ninguém reconheça. Servidor atualizado com a credencial falsa ainda ativa continua aberto, e é exatamente nesse detalhe que a maioria das limpezas incompletas falha.
